Glosario
Windows Hello para empresas
Método de inicio de sesión sin contraseña que la sustituye por una clave vinculada al dispositivo y protegida por el TPM, desbloqueada con un PIN o un gesto biométrico.
Windows Hello para empresas sustituye la contraseña en el inicio de sesión de Windows por un par de claves asimétricas creado en el dispositivo durante la inscripción. La clave privada se almacena en el TPM cuando está disponible y se desbloquea localmente con un PIN o un gesto biométrico; la clave pública se registra en Microsoft Entra ID o Active Directory. Como el PIN nunca sale del dispositivo y la clave está vinculada a ese hardware, un PIN robado no sirve en otro equipo y no existe ninguna contraseña reutilizable que puedan capturar los kits de phishing. Para los recursos locales usa uno de varios modelos de confianza: confianza de Kerberos en la nube (la opción recomendada para las implementaciones híbridas), confianza de clave o confianza de certificado.
Es importante porque las contraseñas siguen siendo la materia prima del phishing, la difusión de contraseñas (password spraying) y la reutilización de credenciales. Impleméntelo con Intune o directiva de grupo, exija un TPM de hardware, defina una complejidad de PIN y una protección contra ataques por fuerza bruta (anti-hammering) razonables, y combínelo con acceso condicional para que el inicio de sesión resistente al phishing sea realmente obligatorio. Mantenga un proceso de recuperación para dispositivos perdidos y restablecimientos de PIN.
Consulte Windows Hello para empresas para administradores y usuarios.